一道爆破密码题

最新推荐文章于 2024-08-27 22:46:20 发布
最新推荐文章于 2024-08-27 22:46:20 发布
阅读量1.1k 收藏
点赞数 4
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/FSecurity/article/details/111338295
本文通过一道名为weak_auth的题目，引导读者了解弱口令问题并掌握爆破技巧。首先，尝试登录目标网站失败后，用admin账号进行尝试。接着，分析check.php源代码确认爆破可行性。然后，利用burpsuite抓包工具配合字典进行爆破，最终成功获取flag。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

题目：weak_auth

在这里插入图片描述

目标：

了解弱口令，掌握爆破的方法

Writeup

（1）打开目标网址，发现需要登陆，于是我们输入账号密码信息

在这里插入图片描述
（2）我们随便输入一个账号密码登陆测试一下，出现下图所示

在这里插入图片描述
（3）看到上图所示，我们下面使用admin账户进行登陆试试，密码自己随便填写一个
在这里插入图片描述
（4）结果还是失败，但是从结果显示可以看出，我们可以对密码进行爆破

在这里插入图片描述
（5）接下来我们查看一下check.php的源代码，从中更加确定了我们对密码进行爆破
在这里插入图片描述
（6）接下来我们使用burpsuite抓包软件进行爆破（这里需要一个字典，可以在github里面下载一个也可以自己创建一个，字典越多越好。）
https://github.com/rootphantomer/Blasting_dictionary
（7）现在我们开始进行爆破
在这里插入图片描述
在这里插入图片描述
（8）添加字典开始爆破
在这里插入图片描述
（9）爆破成功，拿到flag
在这里插入图片描述

FSecurity
关注
《WEB安全渗透测试》（15）验证码暴破or账号密码暴破
午夜安全
10-14 3010
《WEB安全渗透测试》（15）验证码暴破or账号密码暴破 这道题目名称叫验证码爆破，是对验证码爆破吗？不对，这种说法是不准确的，这里其实是由于验证码机制存在缺陷，无法起到相应的安全作用（防止账号密码暴力破解），从而恶意用户可以利用工具对用户密码进行暴力破解。所以名称叫账号密码暴力破解更加合适。在真实的渗透测试工作中，图片验证码的问题广泛存在，主要集中在图片验证码绕过、暴力破解、回显、无效、机器识别等方面。使用Burp抓包，可以发现，提交之后一共2次请求......
CTF — 压缩包密码爆破
Liu_Bruce的博客
08-06 1万+
​ 在CTF比赛中，密码爆破压缩包（如ZIP或RAR文件）是一个常见的任务。针对ZIP压缩包的密码爆破主要是使用工具ARCHPR完成的。
BugKu-web15（密码爆破）
羽的博客
05-04 443
密码爆破题来了 用Burp suite数字密码爆破就好了 题目要的也就是你去搞懂密码爆破。学会使用burp suite。 简单抓包，发给Intruder. 攻击模式设置为爆破 设置两个爆破点，（因为爆破时只能是两个及以上） 设置payloads type为Numbers. 并设置为9999~100000. 5位数字。 将线程设置为10 .这样快一点。 剩下就是自动爆破了。 ...
【CTF爆破专题】
qq_74240553的博客
01-17 1318
CTF爆破
【CTF练习】Ctfshow入门 爆破（21-24）
Lush_hair_Dl的博客
03-10 2083
爆破题常用的工具就是bp的Intruder模块，将抓到的包发送到Repeater(点击action会有相应选项)，用字典爆破：本题是一个登录窗口，首先第一步就是先输入用户名为：admin（一般没有额外提示就这么猜），密码随便输（此处输入111），然后登录。这一过程的目的是为了抓包查看爆破点有的时候抓包会直接看到用户名和密码的位置，这里就不能直接看到，此处将用户名和密码进行base64加密（对于一串字符后有=，基本就要猜测这一串数据是否是base64加密，解密看看是否有什么信息），解密后发现是。
【CTF/MISC】一道图片隐写题
mengmeng0510的博客
10-28 5169
图片隐写题目解题思路binwalk工具查看是否有隐藏信息foremost工具提取文件zip2john工具对压缩包进行暴力破解010editer工具查看图片的二进制数据base64在线编码和解码解题心得题目连接 题目 题目是一个图片： 要从图片中拿到flag信息。 解题思路 binwalk工具查看是否有隐藏信息 这里我们首先用binwalk工具查看一下是否有隐藏的文件： 分析之后我们发现其中隐藏着一个zip压缩文件，文件名称是flag.rar。所以我们下一步要把压缩文件提取出来。 foremost工具提
面安服的一道笔试题
wulanlin的博客
12-31 1269
打算找实习了，在boss上投，简单交流后收到回复，试了下，记录下思路和过程。 资产收集 拿到靶机，指纹识别 根据题目提示使用dirsearch进行目录简单扫描，部分结果如下： 找到robot.txt User-agent: * Disallow: /Company_admin/ 访问首页F12查看源码 <!-- author: Ethredah author URL: http://ethredah.github.io --> 找到前端代码作者Ethredah
一道中职空间安全SSH弱口令渗透测试题解题思路
shatianyzg的博客
06-04 448
任务环境说明： 服务器场景：Linux 服务器场景操作系统：Linux（版本不详） 渗透机场景：BT5 渗透机场景用户名：root,密码：toor 1.在本地PC渗透测试平台BT5中使用zenmap工具扫描服务器场景Linux所在网段(例如：172.16.101.0/24)范围内存活的主机IP地址和指定开放的21、22、23端口。并将该操作使用的命令中必须要添加的字符串作为FLAG提交（忽略ip地址）；flag=-p21,22,232.通过本地PC中渗透测试平台BT5对服务器场景Linux进行系统服
CRC32爆破小结
热门推荐
0verWatch的博客
02-24 3万+
前言 最近在bugku遇到了一道隐写题，binwalk之后发现里面有很多个压缩包。。。。。。然后就无从下手，于是查看别人大佬的wp才发现是CRC32爆破，由于本人第一次遇到这种题目，就记录一下吧。。 正文 CRC想必大家都知道，它的全称是循环冗余校验(Cyclic Redundancy Check, CRC)，用来校验文件是否出错但并不能用于自动纠错。。emmmm，计组上课好像讲过，...
[HCTF 2018]admin 1 弱口令和爆破解法
hintll的博客
04-04 669
[HCTF 2018]admin 继续buu刷题，几天刷到一道比较有意思的题： [HCTF 2018]admin 打开环境之后 右上角 点击login 既然题目名字都提示了admin 猜测就是弱口令 admin加123 试一下 直接就登录进去了 但是这道题绝对没有这么简单 正常应该是先试一下sql注入 但是，这道题并没有注入漏洞 那就抓包爆破试一下 爆破密码： 发现长度不一样的就是密码 这是第一种解法 ...
网安实训Day1
最新发布
qq_64696386的博客
08-27 402
输入错误的账号密码，但输入正确的验证码时，提示我们username or password is not exists；4.点击右上角start attack开始爆破，结果如下，根据返回数据长度来判断正确的账号密码，返回长度不同于其他数据包的，就是正确的账号密码,故admin为123456。3.进入payloads模块，根据提示在payload set1中输入关于账号的字典，在payload set2中输入关于密码的字典（一般是网上搜索字典）1.根据提示查看js代码，发现前端与验证码有关的一串代码。
凯撒密码
weixin_43723935的博客
10-03 7479
为了防止信息被别人轻易窃取，需要把电码明文通过加密方式变换成为密文。输入一个以回车符为结束标志的字符串（少于80个字符），再输入一个整数offset，用凯撒密码将其加密后输出。恺撒密码是一种简单的替换加密技术，将明文中的所有字母都在字母表上偏移offset位后被替换成密文，当offset大于零时，表示向后偏移；当offset小于零时，表示向前偏移。 输入格式: 输入第一行给出一个以回车结束的非空字符串（少于80个字符）；第二行输入一个整数offset。 输出格式: 输出加密后的结果字符串。 输入样
Bugku的web题（三）
weixin_43342135的博客
08-14 381
17.输入密码查看flag 查看网站，得到提示baopo的提示，于是这里采取了burpsuite抓包进行密码爆破： 最后burpsuite，爆破出密码：13579 得到了flag： 18.点击一百万次 点击查看网站，然后观察网页源码，发现了post传值的可能。 然后我们传值给clicks变量，传1000000给clicks变量，得到flag 19.备份是个好习惯 ...
CTF web题总结--爆破用户名密码
bob的博客
08-31 1万+
1、burp爆破用户名密码 2、id，userid，useId多试几次 3、爆破后台目录，index.php,users.php,login.php,flag.php 4、脚本：# -*- coding:utf-8 -*- import httplib import re import urllibclass Attacker: def __init__(self, mode, url)
漏洞：弱口令、爆破
mathor的博客
11-01 1万+
成因 弱口令没有严格和准确的定义，通常认为容易被别人（它们有可能对你很了解）猜测或被破解工具破解的口令均为弱口令。弱口令指的是仅包含简单数字和字母的口令，例如”123”、”abc”等，因为这样的口令很容易被别人破解。通过爆破工具就可以很容易破解用户的弱口令。 分类 普通型 普通型弱口令就是常见的密码，比如，目前网络上也有人特地整理了常用的弱口令（Top 100）： 123456 a123456 1...
burpsuite爆破登陆密码
Yale的博客
04-04 2万+
实战是违法的，哈哈 这里我们以一道题目为例示范如何爆破 题目链接：http://lab1.xseclab.com/vcode1_bcfef7eacf7badc64aaf18844cdb1c46/index.php 要求成功登陆获得key流程如下： 1.首先在随便填入密码，正确填入验证码，然后用burp抓包 右键，send to intruder2.进入intruder后，burp会默认
Password cracking
农家小舍
09-18 3428
From Wikipedia, the free encyclopediaPassword cracking is the process of recovering passwords from data that has been stored in or transmitted by a computer system.A common approac
第四届“”世安杯“”线上赛题解（Web+Stego+Misc+Crypto）
Assassin
10-08 4867
题目很多原题，但是还是考验了不少的知识点，就算是原来见过的也当做是复习了一下知识点了。 WEB ctf入门级题目 非常水的一道题，可以看到源码，然后利用%00截断就可以通过了 曲奇饼 原题，直接利用line和file来泄露文件内容，通过臊面轻松知道存在index.php，然后利用一下得到源码审计 #_*_coding:utf-8_*_ import requests s=r
通过CTFShow例题掌握爆破方法
qq_54502707的博客
01-28 3067
大家好，这里是KOKO师傅~ 之前我们以CTFShow的例题对信息收集类WEB题目进行了针对练习，今天我们继续进行爆破模块的针对练习！
常用爆破密码合集：亲测有效！
"该资源是一个包含了大量弱口令和常见密码组合的集合，适用于各种爆破攻击场景。这些密码包括了特殊字符、邮箱地址、键盘序列、日期、月份、品牌名称、数字序列以及常见的字母数字组合，可用于测试系统的安全性或者...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值